ทำ ISO 27001 ด้วยตัวเอง — คู่มือ SME ไทย (ฉบับปี 2568)

ลูกค้าองค์กรหรือหน่วยงานราชการเริ่มถามหา ISO 27001 มากขึ้นเรื่อย ๆ แต่การจ้างที่ปรึกษาราคาหลักแสนอาจเกินงบ SME คำถามคือ — เราทำเองได้ไหม? คำตอบสั้น ๆ คือ ได้ครับ บทความนี้สรุปให้ว่าเริ่มยังไง ต้องมีอะไรบ้าง และค่าใช้จ่ายจริงเป็นเท่าไร

ISO 27001 คืออะไร (ฉบับสั้น)

ISO/IEC 27001:2022 คือมาตรฐานสากลสำหรับ “ระบบบริหารความมั่นคงปลอดภัยสารสนเทศ” (ISMS) — พูดง่าย ๆ คือระบบที่ทำให้องค์กรดูแลข้อมูลอย่างปลอดภัยและพิสูจน์ได้ว่าทำจริง ประกอบด้วยข้อกำหนดหลัก (ข้อ 4–10) และมาตรการควบคุมใน Annex A จำนวน 93 ข้อ ใน 4 หมวด (องค์กร บุคลากร กายภาพ เทคโนโลยี)

SME ทำเองได้จริงไหม?

งาน ISO 27001 แบ่งได้ 2 ส่วน: (1) การเตรียมความพร้อม — จัดทำเอกสาร ประเมินความเสี่ยง วางมาตรการ และ (2) การตรวจรับรอง โดยหน่วยงานภายนอก (Certification Body)

ส่วนที่ 1 นั้น SME ทำเองได้เกือบทั้งหมด โดยเฉพาะถ้าใช้เครื่องมือที่ช่วยไกด์ทีละขั้น ส่วนที่ 2 ต้องจ้าง Certification Body ที่ได้รับ accreditation มาตรวจ (เลี่ยงไม่ได้) แต่ยิ่งคุณเตรียมส่วนที่ 1 มาดี ค่าใช้จ่ายและเวลาส่วนที่ 2 ก็ยิ่งน้อยลง

5 ขั้นเริ่มทำเอง

1. กำหนดขอบเขต — ระบบครอบคลุมส่วนไหน/ข้อมูลใดของธุรกิจ
2. ประเมินความเสี่ยง — ระบุภัย ประเมินจาก “โอกาสเกิด × ความรุนแรง” แล้วจัดลำดับ
3. ทำ SoA (Statement of Applicability) — ระบุว่ามาตรการ 93 ข้อ ข้อไหนใช้/ไม่ใช้ พร้อมเหตุผลและหลักฐาน นี่คือเอกสารที่ผู้ตรวจขอดูเป็นอันดับแรก
4. ลงมือปิดช่องว่าง — ทำมาตรการที่ยังไม่มี พร้อมเก็บหลักฐาน
5. ตรวจภายใน + ทบทวนโดยผู้บริหาร — ตรวจตัวเองก่อนผู้ตรวจจริงมา

เอกสารบังคับที่ต้องมี

ขอบเขต ISMS · นโยบายความมั่นคงสารสนเทศ · กระบวนการประเมินและจัดการความเสี่ยง · SoA · วัตถุประสงค์ด้านความปลอดภัย · ผลการวัดผล · ผลการตรวจประเมินภายใน · บันทึกข้อบกพร่องและการแก้ไข

ค่าใช้จ่าย: ทำเอง vs จ้างที่ปรึกษา

สำหรับ SME ที่มีทีมพอจัดการได้ การทำเตรียมความพร้อมเองด้วยเครื่องมือช่วยประหยัดค่าที่ปรึกษาได้มาก และทีมยังได้ความเข้าใจติดตัว

อ่านเพิ่ม: คู่มือเริ่มใช้งาน · ความปลอดภัยของข้อมูล

หมายเหตุ: ระบบนี้เป็นเครื่องมือเตรียมความพร้อม การรับรองจริงต้องผ่าน Certification Body ที่ได้รับ accreditation เท่านั้น